Fiz uns testes e o bash da distro atual do MK-AUTH está vulnerável ao exploit do bash CVE-2014-6271, já que o mesmo afeta o Debian Wheezy.
Tentei um apt-get upgrade somente no bash(para evitar os problemas do apt-get upgrade), mas continuou o problema.
Alguma dica, Pedro? To bloqueando o acesso externo ao meu MK-AUTH agora para evitar pentesters.
E a pergunta que não quer calar: o MK-AUTH está vulnerável ou não?
Obrigado!
root@mkauth:~# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test
root@mkauth:~# sudo apt-get update
Ign http://ftp.debian.org wheezy InRelease
Obter:1 http://ftp.debian.org wheezy Release.gpg [1.655 B]
Obter:2 http://ftp.debian.org wheezy Release [168 kB]
Obter:3 http://ftp.debian.org wheezy/main Sources [5.957 kB]
Obter:4 http://ftp.debian.org wheezy/contrib Sources [47,7 kB]
Obter:5 http://ftp.debian.org wheezy/non-free Sources [93,4 kB]
Obter:6 http://ftp.debian.org wheezy/main i386 Packages [5.859 kB]
Obter:7 http://ftp.debian.org wheezy/contrib i386 Packages [42,3 kB]
Obter:8 http://ftp.debian.org wheezy/non-free i386 Packages [77,5 kB]
Obter:9 http://ftp.debian.org wheezy/contrib Translation-en [34,8 kB]
Atingido http://ftp.debian.org wheezy/main Translation-pt_BR
Atingido http://ftp.debian.org wheezy/main Translation-pt
Obter:10 http://ftp.debian.org wheezy/main Translation-en [3.847 kB]
Obter:11 http://ftp.debian.org wheezy/non-free Translation-en [66,1 kB]
Baixados 16,2 MB em 2min 16s (119 kB/s)
Lendo listas de pacotes... Pronto
root@mkauth:~# apt-get install bash
Lendo listas de pacotes... Pronto
Construindo rvore de depend ncias
Lendo informa o de estado... Pronto
Pacotes sugeridos:
bash-doc
Pacotes recomendados:
bash-completion
Os pacotes a seguir ser o atualizados:
bash
1 pacotes atualizados, 0 pacotes novos instalados, 0 a serem removidos e 138 n o
atualizados.
preciso baixar 1.475 kB de arquivos.
Depois desta opera o, 0 B adicionais de espa o em disco ser o usados.
Obter:1 http://ftp.debian.org/debian/ wheezy/main bash i386 4.2+dfsg-0.1 [1.475 kB
]
Baixados 1.475 kB em 15s (94,8 kB/s)
(Lendo banco de dados ... 45289 files and directories currently installed.)
Preparando para substituir bash 4.2-4 (usando .../bash_4.2+dfsg-0.1_i386.deb) ...
Desempacotando substituto bash ...
Processando gatilhos para man-db ...
Configurando bash (4.2+dfsg-0.1) ...
update-alternatives: using /usr/share/man/man7/bash-builtins.7.gz to provide /usr/
share/man/man7/builtins.7.gz (builtins.7.gz) in auto mode
root@mkauth:~# env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
vulnerable
this is a test
root@mkauth:~#
Respostas
certo, mais já tem um tempo que o update do sistema desativa o uso de CGI e assim fica dificil explorar...
Paulo Vinicius disse:
Tudo ok por aqui. Obrigado.
O ideal seria incluir essa atualização em nos updates do MK-AUTH, devido a gravidade da falha.
Até mais, pessoal.
foi atualizado normal aqui no meu
16% mais nao conclui
já resolveram amigo, para atualizar o BASH usa os comandos abaixo:
primeiro comando:
echo "deb http://security.debian.org/ wheezy/updates main contrib non-free" >> /etc/apt/sources.list
segundo comando:
apt-get update && apt-get install --only-upgrade bash
REINAM OLIVEIRA BRITO disse:
acompanhando... a solução
acompanhando, Pedro quando essa falha for resolvida pelo pessoa do Debian nos comunique .
No changelog do Bash:
wheezy (security) 4.2+dfsg-0.1+deb7u3 fixed
sim amigo é vulneravel, mais é dificil explorar pq o PHP do mk-auth roda como modulo e não como CGI e fazer um upgrade tb não resolve pois já testei aqui, a solução mais rapida é reinstalar o BASH usando usando os comandos de update e instalação do bash com apt:
primeiro comando:
echo "deb http://security.debian.org/ wheezy/updates main contrib non-free" >> /etc/apt/sources.list
segundo comando:
apt-get update && apt-get install --only-upgrade bash
essa falha é muito grave, o pessoal do debian já está trabalhando para que seja resolvido em todas as versões atraves de patch, mais até isso a melhor solução é essa...